Analizzare e conservare i Sophos Central Audit Log
Sophos Central registra le attività amministrative nell’Audit Log. Dopo un falso allarme, una modifica di policy o un accesso sospetto si può così determinare quale account abbia eseguito l’azione, quando e da quale indirizzo IP.
L’Audit Log non sostituisce un SIEM completo. Nel portale si possono consultare al massimo 90 giorni. Chi deve conservare evidenze più a lungo o correlare rapidamente dati Entra, Firewall ed Endpoint deve esportarli regolarmente o acquisirli in modo automatico.
Non confondere Audit Log ed Event Log
| Log | Domanda tipica |
|---|---|
| Audit Log | Chi ha modificato un ruolo, una policy, un’esclusione o un’impostazione? |
| Events | Che cosa ha segnalato un dispositivo protetto o un prodotto Sophos? |
| Alerts | Quale segnalazione valutata richiede indagine o intervento? |
Il blocco di codice dannoso appare come Event o Alert. La successiva chiusura dell’alert, un’esclusione globale o una modifica di ruolo è invece un’attività amministrativa nell’Audit Log.
Una registrazione può per esempio indicare la modifica di Users and Groups, riportare il nome di un utente appena creato come oggetto concreto o registrare l’autenticazione riuscita di un account Central. La combinazione di classe dell’oggetto, oggetto modificato, descrizione e account esecutore è più significativa di ciascun campo isolato.
Accesso e ruoli
Il percorso attuale è Reports > General logs > Audit Logs. I dati visibili dipendono dal ruolo amministrativo. Nelle Custom Role deve essere consentito Access sensitive logs & reports.
L’accesso all’audit non va concesso indiscriminatamente a ogni account Help Desk. Le registrazioni contengono nomi degli amministratori, indirizzi IP e modifiche di sicurezza. Allo stesso tempo almeno un ruolo operativo deve avere accesso, così da poter esaminare gli incident anche senza l’account Super Admin.
Leggere correttamente i campi
Ogni voce contiene tipicamente:
- Date per data e ora,
- Modified by per l’account Central che ha eseguito l’azione,
- Item type per la classe di oggetto interessata,
- Item modified per l’oggetto concreto,
- Description per dettagli aggiuntivi,
- IP address per l’indirizzo sorgente dell’azione.
Modified by è poco informativo soprattutto con account condivisi. Proprio per questo ogni persona deve avere un proprio account amministratore. Le azioni API restano attribuibili alla rispettiva identità tecnica se ogni integrazione usa una Credential distinta.
Indagare nell’ordine corretto
Per una modifica sospetta si restringe prima l’intervallo rilevante. Per impostazione predefinita Central mostra gli ultimi sette giorni; nel portale il periodo può essere esteso fino a 90 giorni. Dopo una modifica della data o del termine di ricerca va selezionato Update.
La ricerca è volutamente limitata ed è adatta soprattutto a:
- indirizzo IP da cui è stata eseguita una modifica,
- valore in Modified by,
- combinazione tra termine di ricerca e intervallo selezionato.
In seguito le modifiche correlate vengono considerate come sequenza. Un’esclusione globale può per esempio seguire un login, una modifica di ruolo, un adeguamento di policy e la chiusura di un alert. Una singola voce non spiega questo contesto.
Usare correttamente l’esportazione
Central offre CSV e PDF, con una differenza importante:
- current view usa la vista e i filtri attualmente selezionati,
- past 90 days esporta l’intero periodo di 90 giorni; può applicarsi un filtro di ricerca, ma non l’intervallo di date selezionato nel portale.
L’esportazione si avvia con Export a destra nella pagina Audit Logs. Nel menu si sceglie consapevolmente la vista corrente o i 90 giorni e il formato richiesto. Prima del clic si rileggono termine di ricerca e vista, evitando di archiviare un file filtrato come se fosse l’intero audit.
Dopo l’esportazione il file viene rinominato subito in modo univoco, per esempio con tenant, periodo e data di creazione. Nomi standard come audit.csv non vanno lasciati invariati in una cartella collettiva.
CSV è adatto a filtri, correlazione ed elaborazione automatica. PDF è utile quando serve un’istantanea immutata per un ticket o un’approvazione. Per la conservazione delle prove si documenta anche un hash del file esportato e si archivia l’originale in sola lettura.
Conservazione operativa
Senza SIEM, un’esportazione mensile è la soluzione minima semplice. Il periodo deve sovrapporsi al ciclo precedente, affinché un job fallito o una chiusura mensile tardiva non crei lacune. Le voci duplicate si possono eliminare in seguito, quelle mancanti non si possono ricostruire.
Negli ambienti più grandi si usa l’API Sophos Central. L’identità tecnica riceve solo il ruolo necessario, viene monitorata e ruotata.
Una regola di conservazione appropriata definisce:
- team responsabile e luogo di archiviazione,
- durata secondo requisiti interni e legali,
- protezione dell’accesso e immutabilità,
- sincronizzazione temporale,
- test di ricerca e ripristino,
- procedura in caso di esportazione fallita.
Controlli importanti
L’Audit Log non si apre solo durante un incident. Campionamenti regolari verificano in particolare:
- amministratori aggiunti o rimossi,
- assegnazione di Super Admin e Custom Role,
- creazione ed eliminazione di API Credential,
- modifiche a MFA, accesso federato e fonti directory,
- esclusioni globali, Tamper Protection e modifiche di policy,
- modifiche automatiche tramite Account Health Check,
- migrazioni di dispositivi o tenant,
- attivazione di Remote Assistance.
Dopo Fix automatically in Account Health Check si controllano nell’Audit Log le modifiche effettuate. Un punteggio verde non dimostra che la modifica sia adatta al proprio ambiente operativo.
Problemi tipici
La modifica prevista manca
Controllare prima intervallo, fuso orario, filtro di ricerca e Update. Chiarire poi se l’azione sia stata eseguita davvero in questo tenant oppure da un contesto Enterprise, Partner o di un altro cliente.
L’esportazione contiene più dati della vista
Con past 90 days, l’intervallo selezionato nel portale non si applica come per current view. Per conservare prove in un intervallo ristretto si esporta la vista corrente e poi se ne verifica il contenuto.
Il nome dell’amministratore non è univoco
Eliminare gli account condivisi. Per gli accessi tecnici si usa una API Credential distinta per applicazione. Con accesso federato si correlano anche gli IdP Sign-in Log.
Manca l’accesso all’audit
In una Custom Role si verifica se sia attivo l’accesso a log e report sensibili. Se l’opzione manca completamente, un Super Admin deve controllare l’assegnazione del ruolo.